Un collaboratore lascia l'azienda, ma conosce ancora la password di un account aziendale condiviso. Un fornitore di servizi esterno ottiene temporaneamente l'accesso a un'applicazione cloud, ma la sua autorizzazione non viene rimossa al termine del progetto. Oppure credenziali sensibili vengono scambiate all'interno di un team tramite tabelle Excel ed e-mail.

Nella quotidianità aziendale, situazioni di questo tipo sembrano spesso innocue. Se però si verifica un accesso non autorizzato o la perdita di informazioni sensibili, possono derivarne notevoli rischi per la sicurezza e, in determinate circostanze, conseguenze legali.

La sfida centrale è quindi la seguente: le aziende non devono soltanto proteggere i propri dati, ma anche essere in grado di controllare chi ha accesso a quali sistemi.

Perché la sicurezza delle password è anche una questione di compliance

Le password sono tra i più importanti strumenti di accesso nelle aziende. Proteggono account e-mail, banche dati dei clienti, servizi cloud, sistemi finanziari e numerose altre applicazioni aziendali.

Al tempo stesso rappresentano un rischio spesso sottovalutato. Se le credenziali vengono riutilizzate, archiviate senza cifratura o trasmesse in modo incontrollato, anche un singolo account compromesso può avere conseguenze di vasta portata.

Le disposizioni legali in materia di sicurezza delle informazioni intervengono proprio su questi rischi.

In Svizzera, la legge federale sulla protezione dei dati (LPD) riveduta, in vigore dal 1° settembre 2023, costituisce una base giuridica essenziale. Essa impone alle aziende di proteggere i dati personali mediante adeguati provvedimenti tecnici e organizzativi.

Non si tratta esclusivamente di cifratura o di protezione dell'infrastruttura IT. Anche l'organizzazione dei diritti degli utenti, procedure di accesso sicure e le responsabilità interne fanno parte di un concetto di sicurezza efficace.

Un password manager professionale può aiutare le aziende ad attuare tali misure. Consente ad esempio di archiviare le credenziali in modo protetto, di assegnare le autorizzazioni in modo strutturato e di ridurre la trasmissione di password attraverso canali non idonei.

È importante tuttavia sottolineare che l'impiego di un password manager non significa di per sé il pieno rispetto di tutte le norme sulla protezione dei dati. Ciò che conta è il modo in cui la soluzione viene integrata nei processi di sicurezza esistenti.

LPD e GDPR: cosa devono considerare le aziende svizzere

Molte aziende svizzere collaborano con clienti, partner o fornitori di servizi in altri Paesi europei. Per questo motivo, oltre alla legge svizzera sulla protezione dei dati, possono diventare rilevanti anche normative europee.

La LPD svizzera obbliga i titolari del trattamento a garantire la sicurezza dei dati personali trattati in modo adeguato al rischio. Ciò comprende, tra l'altro, misure contro accessi non autorizzati, perdita di dati e utilizzo abusivo.

Il Regolamento generale europeo sulla protezione dei dati (GDPR) persegue obiettivi di protezione analoghi. A determinate condizioni può applicarsi anche ad aziende al di fuori dell'UE, ad esempio quando offrono in modo mirato beni o servizi a persone nell'UE o ne monitorano il comportamento. Un normale rapporto commerciale con un'azienda dell'UE, invece, non comporta automaticamente l'applicabilità di tutte le disposizioni del GDPR.

Per il trasferimento di dati personali dall'UE alla Svizzera esiste un'importante agevolazione: la Commissione europea riconosce la Svizzera come Paese con un livello adeguato di protezione dei dati. Gli altri obblighi in materia di protezione dei dati restano invariati.

Nella pratica aziendale ne deriva un requisito di base comune: le aziende dovrebbero stabilire in modo tracciabile quali persone possono accedere a informazioni degne di protezione e con quali misure di sicurezza tali accessi vengono controllati.

È proprio qui che una gestione strutturata delle password e degli accessi assume importanza.

NIS2, DORA e Cyber Resilience Act: ulteriori requisiti per la sicurezza IT

Oltre alla protezione dei dati, in Europa acquistano importanza ulteriori normative sulla cibersicurezza.

La direttiva NIS2 si rivolge in particolare alle medie e grandi imprese di determinati settori critici o particolarmente rilevanti, tra cui ad esempio l'approvvigionamento energetico, la sanità, i trasporti, le infrastrutture digitali e alcuni servizi IT. A determinate condizioni possono essere interessate anche organizzazioni più piccole.

Tra i principali ambiti di sicurezza figurano la gestione dei rischi, i controlli degli accessi, l'uso adeguato dell'autenticazione a più fattori, la gestione degli incidenti di sicurezza e la protezione delle catene di approvvigionamento. Gli obblighi concreti derivano dalla direttiva e dal rispettivo recepimento nazionale.

Per determinate imprese finanziarie nell'UE si applica inoltre dal 17 gennaio 2025 il regolamento DORA (Digital Operational Resilience Act). Esso stabilisce requisiti per la gestione dei rischi IT, delle interruzioni operative digitali e dei fornitori di servizi IT esterni.

L'EU Cyber Resilience Act (CRA), a sua volta, riguarda in particolare i produttori di prodotti hardware e software con elementi digitali. Dall'11 settembre 2026 si applicano già determinati obblighi di segnalazione per le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi. I requisiti essenziali relativi ai prodotti saranno applicabili a partire dall'11 dicembre 2027.

Non tutte le PMI svizzere rientrano automaticamente nel campo di applicazione di queste normative europee. Determinanti sono, tra l'altro, l'attività commerciale, i servizi offerti e il rispettivo ambito di applicazione giuridico.

Ciononostante, gli sviluppi indicano una direzione chiara: la cibersicurezza deve essere sempre più organizzata, verificata e assunta come responsabilità in modo sistematico.

Gestione delle password in azienda: dove nascono i rischi maggiori

I requisiti legali possono sembrare complessi. Nel lavoro quotidiano, tuttavia, molti problemi di sicurezza nascono da carenze organizzative di base.

La situazione diventa particolarmente critica quando le credenziali non vengono gestite centralmente.

Nelle aziende si creano così spesso situazioni simili:

• Più collaboratori utilizzano la stessa password per un account aziendale.
• Le credenziali vengono salvate in file Excel, documenti o e-mail.
• I fornitori di servizi esterni ricevono password senza che il loro successivo utilizzo venga controllato in modo sufficiente.
• Dopo l'uscita di collaboratori, le password note a più persone restano invariate.
• Nessuno è in grado di ricostruire in modo affidabile quali accessi esistono all'interno di un reparto.

Il vero problema non risiede esclusivamente nella robustezza di una password. Anche una password lunga e tecnicamente sicura può diventare un rischio se viene trasmessa in modo incontrollato o se ex collaboratori continuano a conoscerla.

Le aziende hanno quindi bisogno di una struttura chiara per la gestione degli accessi aziendali.

Un password manager centralizzato può aiutare a mettere a disposizione in modo protetto password e altre informazioni di accesso supportate e a vincolarne l'utilizzo ad autorizzazioni definite.

Quali misure di sicurezza supporta una gestione professionale delle password

La moderna gestione delle password va ben oltre il semplice salvataggio e la compilazione automatica delle password. Per le aziende sono particolarmente rilevanti i seguenti ambiti.

1. Archiviazione protetta invece di elenchi di password incontrollati

Le credenziali aziendali non dovrebbero essere sparse in documenti non protetti o appunti personali.

Un password manager professionale archivia le password in un ambiente cifrato. In questo modo si riduce il rischio che credenziali sensibili vengano divulgate accidentalmente o trasmesse attraverso canali di comunicazione non idonei.

2. Autorizzazioni basate sui ruoli e condivisioni controllate

Non tutti i collaboratori necessitano di accedere a tutti gli account aziendali.

Grazie ad autorizzazioni basate su ruoli e gruppi, le aziende possono stabilire quali persone o team possono utilizzare determinate credenziali. Ciò supporta il cosiddetto principio del privilegio minimo (least privilege): gli utenti ricevono soltanto le autorizzazioni necessarie per svolgere i propri compiti.

Resta importante distinguere tra l'accesso a un password manager e le autorizzazioni all'interno di un'applicazione. Entrambi devono essere gestiti in modo adeguato.

3. Processi sicuri di onboarding e offboarding

Quando i collaboratori lasciano l'azienda o cambiano funzione internamente, i diritti di accesso devono essere adeguati.

La disattivazione di un account utente in Active Directory o nel sistema di gestione delle identità può essere una componente importante dell'offboarding. Tuttavia, non impedisce necessariamente l'ulteriore utilizzo di password già note per account aziendali indipendenti o condivisi.

Le aziende dovrebbero quindi verificare anche quali credenziali devono essere modificate, quali sessioni esistenti devono essere terminate e quali ulteriori possibilità di accesso devono essere revocate.

Una gestione centralizzata delle password aiuta a identificare gli accessi interessati e a riorganizzarne la messa a disposizione.

4. Autenticazione a più fattori e password robuste

Una password da sola non dovrebbe rappresentare l'unica misura di protezione, soprattutto per le applicazioni aziendali critiche.

L'autenticazione a più fattori integra l'accesso con un ulteriore meccanismo di sicurezza. Ove possibile, dovrebbero essere preferiti metodi resistenti al phishing.

Allo stesso tempo, per numerose applicazioni restano necessarie password lunghe e univoche. Un password manager può generare e gestire in modo sicuro tali password senza che i collaboratori debbano ricordarle a memoria.

5. Tracciabilità e verifica periodica

Per la sicurezza IT non è importante soltanto se le autorizzazioni sono state assegnate, ma anche se sono ancora giustificate.

Funzioni di amministrazione e registrazione adeguate possono aiutare a ricostruire le modifiche alle autorizzazioni e determinati eventi di accesso. Quali informazioni vengano effettivamente registrate dipende dalla soluzione utilizzata e dalla sua configurazione.

Una verifica periodica dei diritti di accesso esistenti contribuisce a individuare tempestivamente autorizzazioni non necessarie e condivisioni obsolete.

Attacco informatico o perdita di dati: quando sussiste l'obbligo di notifica?

Nonostante le misure di protezione tecniche e organizzative, gli incidenti di sicurezza non possono essere esclusi del tutto.

Se, ad esempio, un account aziendale viene compromesso e persone non autorizzate ottengono così l'accesso a dati personali, l'azienda deve verificare se si è verificata una violazione della sicurezza dei dati soggetta a notifica.

In Svizzera, la LPD richiede una notifica all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) il più rapidamente possibile, se la violazione comporta presumibilmente un rischio elevato per la personalità o i diritti fondamentali delle persone interessate.

Secondo il GDPR, una violazione dei dati personali soggetta a notifica deve in linea di principio essere comunicata all'autorità di controllo competente entro 72 ore dal momento in cui se ne è venuti a conoscenza. La notifica non è necessaria se è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche.

Per determinati gestori di infrastrutture critiche in Svizzera sussiste inoltre, dal 1° aprile 2025, l'obbligo di segnalazione all'Ufficio federale della cibersicurezza (UFCS). Gli attacchi informatici soggetti a segnalazione devono in linea di principio essere segnalati entro 24 ore dalla loro scoperta.

A seconda dell'azienda e del sistema interessato, un incidente di sicurezza può quindi far scattare obblighi legali diversi.

Oltre alla reazione tecnica, devono esistere procedure interne chiare. Chi valuta l'incidente? Chi informa la direzione? Quali account devono essere bloccati e quali autorità devono eventualmente essere informate?

Una gestione strutturata delle password e dei diritti di accesso facilita l'identificazione degli account interessati e l'avvio delle misure di protezione necessarie. Non sostituisce tuttavia né un piano di risposta agli incidenti né la valutazione giuridica degli obblighi di notifica.

Fornitori di servizi IT esterni: la responsabilità non si può semplicemente esternalizzare

Molte aziende collaborano con partner IT esterni, fornitori di servizi cloud o fornitori di servizi specializzati, che in parte necessitano di accedere a sistemi interni e a informazioni aziendali.

La collaborazione con partner esterni, tuttavia, non esonera automaticamente le aziende dalle loro responsabilità in materia di protezione dei dati.

Dovrebbe quindi essere chiaramente stabilito quali accessi sono necessari e per quale scopo, per quanto tempo possono essere mantenuti e chi è responsabile della loro verifica.

Gli accessi condivisi meritano particolare attenzione. Se le password vengono trasmesse a partner esterni, può diventare difficile mantenere una visione d'insieme sul loro utilizzo successivo.

Una gestione professionale delle password può fornire qui un contributo importante. Gli accessi possono essere messi a disposizione in modo strutturato, le autorizzazioni gestite in modo mirato e, se necessario, nuovamente revocate.

Per le password già trasmesse può inoltre essere necessario un cambio di password. La semplice rimozione di una condivisione dal password manager non rende automaticamente non valida una password già nota.

Una collaborazione sicura con partner esterni richiede quindi sia meccanismi di protezione tecnici sia regole organizzative chiare.

Quali conseguenze legali possono avere le carenze di sicurezza?

Le violazioni della protezione dei dati e l'inosservanza delle disposizioni legali in materia di sicurezza possono comportare conseguenze considerevoli.

In Svizzera, la LPD prevede per determinate violazioni intenzionali multe fino a CHF 250'000 nei confronti delle persone fisiche responsabili. A particolari condizioni previste dalla legge, può essere multata invece l'azienda fino a CHF 50'000.

Il GDPR consente, per violazioni particolarmente gravi, sanzioni pecuniarie fino a 20 milioni di euro o al quattro per cento del fatturato mondiale annuo, se superiore.

Anche altre normative come la NIS2 prevedono meccanismi sanzionatori, la cui applicazione concreta dipende dal rispettivo quadro giuridico.

Tuttavia, non ogni lacuna di sicurezza comporta automaticamente una multa. Determinanti sono gli obblighi legali concreti, le circostanze dell'incidente ed eventualmente la colpa.

Indipendentemente da ciò, gli attacchi informatici possono avere conseguenze operative: interruzioni dell'attività, costi di ripristino, possibili perdite di dati e una fiducia dei clienti compromessa.

Le misure di sicurezza preventive non sono quindi soltanto una questione di compliance, ma anche di gestione dei rischi economici.

Conclusione: una gestione sicura delle password è un elemento di una conduzione aziendale responsabile

I requisiti normativi in materia di protezione dei dati e cibersicurezza continuano a evolversi. Per le aziende svizzere ciò significa soprattutto rimettere regolarmente in discussione i processi di sicurezza esistenti.

Non si tratta di impiegare il maggior numero possibile di singole soluzioni di sicurezza. Ciò che conta è un concetto globale coerente e tracciabile, che combini misure tecniche e organizzative.

Una gestione professionale delle password può fornire un contributo essenziale in tal senso. Grazie all'archiviazione protetta, alle condivisioni controllate, ad autorizzazioni chiare e a processi di onboarding e offboarding regolamentati, è possibile ridurre numerosi rischi nella gestione degli accessi aziendali.

Al tempo stesso, ulteriori misure di protezione come l'autenticazione a più fattori, la gestione delle identità, la formazione dei collaboratori e una gestione efficace degli incidenti di sicurezza restano indispensabili.

La domanda decisiva per le aziende non è quindi soltanto: le nostre password sono sicure? Ma anche: sappiamo in ogni momento chi può accedere a quali account aziendali e come li controlliamo?

Chi sa rispondere a queste domande e attua coerentemente i processi corrispondenti crea una base importante per la sicurezza delle informazioni, la protezione dei dati e la resilienza digitale a lungo termine.

Volete migliorare la gestione delle password nella vostra azienda?

Una gestione centralizzata e sicura di password e accessi può aiutare le aziende a ridurre i rischi e a rendere più efficienti i processi di sicurezza interni. Scoprite come una gestione professionale delle password può supportare la vostra organizzazione nella quotidianità aziendale.